条件を指定してログを検索する

環境

  • Windows Server 2019 Datacenter Evaluation
  • Windows Server 2016 Datacenter Evaluation
  • Windows Server 2012 R2 Datacenter
  • Windows Server 2008 R2 Datacenter
  • Windows Server 2003 Standard Edition SP2
  • Windows 10 Professional

ログと日時の範囲を指定する

以下の条件でログを抽出します。
ログ:Application
日付:2019/12/09 00:00:00 ~ 2019/12/09 23:59:59

Get-WinEvent -LogName Application | Where-Object{$_.TimeCreated -gt "2019/12/09 00:00:00" -and $_.TimeCreated -le "2019/12/09 23:59:59"}
----------------------------------------
   ProviderName: SecurityCenter

TimeCreated                     Id LevelDisplayName Message                                                           
-----------                     -- ---------------- -------                                                           
2019/12/09 17:32:59             15 情報               状態が Windows Defender から SECURITY_PRODUCT_STATE_ON に正常に更新されました。    
2019/12/09 17:32:59             15 情報               状態が Windows Defender から SECURITY_PRODUCT_STATE_ON に正常に更新されました。    
2019/12/09 17:32:57             15 情報               状態が Windows Defender から SECURITY_PRODUCT_STATE_ON に正常に更新されました。    
2019/12/09 17:32:57             15 情報               状態が Windows Defender から SECURITY_PRODUCT_STATE_ON に正常に更新されました。    
・・・

上記の方法は、Applicationログ内のすべてのレコードを取り出してから検索するのでログサイズが大きいとかなり時間がかかります。そこで、次項のように「-FilterHashTable」パラメータを使用してイベントログを事前に絞り込むと時間を短縮できます。

ログと日時の範囲を指定する(-FilterHashTable)

以下の条件でログを抽出します。
ログ:Application
日付:2019/12/09 00:00:00 ~ 2019/12/09 23:59:59

Get-WinEvent -FilterHashTable @{LogName="Application"; StartTime="2019/12/01 00:00:00"; EndTime="2019/12/01 23:59:59";}
----------------------------------------
   ProviderName: SecurityCenter

TimeCreated                     Id LevelDisplayName Message                                                           
-----------                     -- ---------------- -------                                                           
2019/12/09 17:32:59             15 情報               状態が Windows Defender から SECURITY_PRODUCT_STATE_ON に正常に更新されました。    
2019/12/09 17:32:59             15 情報               状態が Windows Defender から SECURITY_PRODUCT_STATE_ON に正常に更新されました。    
2019/12/09 17:32:57             15 情報               状態が Windows Defender から SECURITY_PRODUCT_STATE_ON に正常に更新されました。    
2019/12/09 17:32:57             15 情報               状態が Windows Defender から SECURITY_PRODUCT_STATE_ON に正常に更新されました。    
・・・

ログとサーバとエラーレベルを指定する

以下の条件でログを抽出します。
ログ:Application
サーバ:Windows2008(Windows Server 2008)
エラーレベル:2(0:情報  1:警告 2:エラー)

Get-WinEvent -computername "windows2008" -FilterHashTable @{LogName="Application"; Level=2}
----------------------------------------
   ProviderName: Microsoft-Windows-WMI

TimeCreated                     Id LevelDisplayName Message                                                           
-----------                     -- ---------------- -------                                                           
2019/12/09 18:42:54             10 エラー              クエリ "SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE ...
2019/12/09 18:38:29             10 エラー              クエリ "SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE ...
2019/12/09 18:32:39             10 エラー              クエリ "SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE ...
・・・

ログとサーバと日時とイベントIDと件数を指定する

以下の条件でログを抽出します。
ログ:System
サーバ:Windows2008(Windows Server 2008)
日時:2019/12/09 19:00:00以降
イベントID:6005
件数:最新のログから2件取得

Get-WinEvent -computername "windows2008" -FilterHashTable @{LogName="System"; StartTime="2019/12/09 19:00:00"; ID=6005} -MaxEvent 2
----------------------------------------
   ProviderName: EventLog

TimeCreated                     Id LevelDisplayName Message                                                           
-----------                     -- ---------------- -------                                                           
2019/12/09 20:14:19           6005 情報               イベント ログ サービスが開始されました。                                             
2019/12/09 19:53:57           6005 情報               イベント ログ サービスが開始されました。                                             
・・・
タイトルとURLをコピーしました